Validation insuffisante des messages dans Angular DevTools

Veille sécuritéFrontend

P4Moyenne

Angular DevTools avant la version 1.21.1 ne vérifie pas suffisamment l’origine des messages runtime reçus par son service worker, ce qui peut permettre à un expéditeur non fiable d’agir sur un onglet ciblé et d’interrompre son exécution JavaScript. Mettre à jour l’extension vers la version 1.21.1 ; la description précise que le défaut ne permet ni exécution de code à distance ni accès aux données inter-origines.

IdentifiantCVE-2026-101897

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif1.21.1

Source : NVD — CVE-2026-101897

Analyse technique

Le service worker accepte des messages chrome.runtime.sendMessage provenant de pages Web ou de scripts tiers sans vérifier correctement leur source. Un expéditeur disposant d’un tabId valide peut amener l’extension à s’attacher à un autre onglet via chrome.debugger et à déclencher des points d’arrêt du protocole Chrome DevTools.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-14T16:17:29.430Z et une mise à jour à la même heure, dans la période demandée ; elle signale la version corrective 1.21.1.

ImpactUn onglet ciblé peut afficher une bannière de débogage et voir son exécution JavaScript suspendue, empêchant son utilisation ; pas d’exécution de code à distance ni d’accès inter-origines aux données.

Versions affectéesVersions d’Angular DevTools antérieures à 1.21.1.

Version corrigée1.21.1

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.1

Publication2026-10-14T16:17:29.430Z

Mise à jour2026-10-14T16:17:29.430Z

Détection / vérification

Vérifier la version de l’extension Angular DevTools installée dans les navigateurs.

Action recommandée

Mettre à jour Angular DevTools vers la version 1.21.1.

Sources

NVD — CVE-2026-101897

Priorisation DFS : P4 · 1 source(s).